Definir uma estratégia de segurança digital e proteção dos dados tornou-se uma prioridade da maior parte das empresas com a chegada da LGPD.
Nesse contexto, algumas soluções ganharam destaque por possuírem papéis essenciais na estratégia de segurança e conformidade: o Pentest e CSPM.
O que é Pentest?
Pentest é a abreviação de Penetration Test ou teste de penetração, em tradução literal. É também conhecido como teste de intrusão, pois faz a detecção de vulnerabilidades com técnicas utilizadas por hackers éticos – especialistas em segurança da informação contratados por corporações para realizar testes, sem exercer atividades que prejudiquem a empresa ou que tenham efeito criminoso.
O Pentest utiliza softwares e ferramentas para explorar falhas de segurança em sistemas e redes corporativas, a fim de coletar e evidenciar informações que podem ser obtidas através de determinada falha encontrada. Essas ferramentas apoiam inicialmente a avaliação e tem como objetivo verificar falhas consideradas comuns nos sistemas. Após essa primeira etapa são realizadas buscas manuais que envolvem exploração e manipulação de requisições para cobrir os gaps que as ferramentas não são capazes de identificar, como por exemplo as falhas de regra de negócio que necessitam de um olhar mais holístico para serem encontradas.
Com essas informações é possível visualizar os dados que estão sujeitos a ataques e realizar as devidas correções para reforçar a segurança e evitar qualquer tipo de atividade maliciosa, vazamento de dados ou fraudes do ponto de vista de negócio.
O que é CSPM?
O CSPM – Cloud Security Posture Management é um processo que fornece visibilidade do ambiente de nuvem para identificar e remediar de forma proativa os riscos de segurança na nuvem a partir de avaliações da postura de segurança e conformidade.
Clique aqui para saber mais sobre CSPM e algumas práticas para melhorar a postura de segurança e conformidade da nuvem pública.
O CleanCloud Score é um Pentest?
O CleanCloud Score é um produto de CSPM, que examina o ambiente de nuvem pública e traz verificações de vulnerabilidades de acordo com os frameworks de conformidade e regulações de dados, como LGPD e Bacen.
Sendo assim o CleanCloud Score não atua como teste de intrusão. Este realiza de forma proativa análises na camada de infraestrutura da nuvem pública para identificar recursos que estão vulneráveis, suscetíveis a ataques de intrusão, com um banco de dados público ou uma porta aberta em um serviço de armazenamento.
Para resumir, o Pentest explora as vulnerabilidades através de simulações de ataques reais enquanto o CleanCloud Score identifica os recursos vulneráveis para remediar antes que ocorra um ataque.
E como é realizado um Pentest?
Há uma gama de metodologias, frameworks e guidelines que podem ser utilizadas em um Pentest. Mas tudo depende do objetivo principal da análise e do entendimento das hipóteses de risco de negócio. Assim, um Pentest bem executado precisa modelar as ameaças que um potencial adversário pode explorar, como por exemplo vazamento informações, indisponibilidade dos serviços, ações fraudulentas contra o negócio que podem ser financeiras, dano a integridade de informações críticas, dentre outros.
Com a estratégia traçada, o hacker ético utilizará as ferramentas citadas acima para identificar os pontos mais suscetíveis a um ataque. Será também executado o exploitation, que é o abuso efetivo da falha para escalar o ataque e realizar as movimentações necessárias no sistema com o intuito de garantir mais acessos e poderes de forma furtiva.
Com isso é possível obter uma visão fim a fim de como um real atacante poderia impactar um sistema ou mesmo toda a organização, de acordo com o nível de profundidade desse Pentest.
Relação entre o Pentest e o CSPM
Ambas soluções são usadas para detectar vulnerabilidades e possibilidades de falhas nos sistemas que podem ser geradas por configurações incorretas ou por falhas humanas, como a execução de arquivos maliciosos, vírus ou ransomwares.
De forma geral, o Pentest e o CSPM devem ser usados em conjunto para trazer visibilidade à camada de código infraestrutura aos profissionais de segurança, que assim poderão elaborar estratégias para corrigir os potenciais riscos.
Qual é a melhor solução para a empresa?
Para empresas que possuem dados sensíveis em nuvem pública, como AWS, Azure e Google Cloud, tanto o CSPM quanto o Pentest devem ser usados de forma conjunta para que tenha integridade dos dados.
Com a evolução contínua de ambientes digitais e em nuvem, com cada vez mais dados, o uso recorrente dessas soluções é essencial a fim de identificar vulnerabilidades e qualquer outro desvio em relação às regulações de proteção de dados.
Para isso, conte com o CleanCloud Score que traz de forma automática e periódica um assessment com mais de 300 verificações de conformidade para a nuvem AWS, Azure e Google Cloud, de acordo com os principais frameworks e regulações do mercado, incluindo ISO 27001, PCI, Bacen e LGPD.
E também com a Pacific Sec, uma das mais especializadas consultorias de cybersecurity com foco em risco de negócio e planejamento estratégico em todos os nichos de mercado. Sendo o Pentest um dos muitos meios utilizados pela Pacific para que essa avaliação de risco seja realizada gerando insumos para um posicionamento assertivo da organização.
